1. Быстрый диагностический чек-лист
Симптом/код
Почему возникает
Экспресс-решение
SPF permerror: Too Many DNS Lookups
> 10 include / redirect в SPF, цепочка CNAME
Соберите сервисы в поддомен-прокси (
spf1.yourbrand.com) и оставьте 1 includeSPF multiple records found
В DNS две строки v=spf1
Оставьте одну валидную запись, лишнюю удалите
DKIM fail: body hash did not verify
ESP меняет MIME после подписи, неправильный canonicalization
Переключите
c=relaxed/relaxed, стабильно используйте quoted-printableDKIM fail: no key for signature
Selector не совпадает, ключ не опубликован
Проверьте TXT
default._domainkey, TTL, отсутствие лишних кавычекDMARC fail: No SP alignment
SPF или DKIM не проходят и From: не совпадает с доменом
Исправьте SPF/DKIM, проверьте Return-Path и
d= в DKIM-подписиDMARC policy reject hits legit mail
Слишком жёсткая политика без учёта поддоменов
Добавьте
sp=none или заведите отдельный _dmarc.sub.550 5.7.1 Message rejected (SCBAD)
Репутация домена низкая, частые жалобы
Уменьшите объём на 50%, актуализируйте базу, меняйте контент
2. SPF — оптимизация include
1
Запустите:
dig +short TXT yourbrand.com | grep spf 2
Если include: больше десяти — создаём поддомен spf-stack.yourbrand.com и складываем все внешние сервисы там.
spf-stack.yourbrand.com. 3600 IN TXT "v=spf1 include:_spf.mindbox.ru include:_spf.sendpulse.com -all" 3
В главной записи остаётся только:
v=spf1 include:spf-stack.yourbrand.com -all 4
Проверяем через postmaster.mail.ru/spf.
3. DKIM — корректируем селектор и каноникализацию
Selector mismatch
Убедитесь, что подпись s=default совпадает с TXT default._domainkey.
Body hash error
В ESP (например, Unisender) переключите каноникализацию c=relaxed/relaxed.
Смена ключа
Перегенерируйте 2048-битный ключ:
opendkim-genkey -b 2048 -d yourbrand.com -s default Замените TXT без переносов, TTL ≥ 3600.
4. DMARC — политика без подводных камней
1
Начните с режима мониторинга:
_dmarc.yourbrand.com. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@yourbrand.com; fo=1" 2
После 2 недель отчётов XML → анализируйте процент фейлов.
3
Переходите к quarantine (или reject), но не забывайте о поддоменах:
_dmarc.yourbrand.com. IN TXT "v=DMARC1; p=quarantine; sp=none; pct=50; rua=..." 4
Если разные команды шлют с news. и billing., создайте отдельные DMARC-записи для поддоменов.
5. Как перепроверить после фикса
Инструмент
Команда / URL
Что смотрим
dig / nslookup
dig +short TXT _dmarc.yourbrand.comВидимость TXT в мире
Postmaster Mail.ru
Кабинет → «Аутентификация»
Фактический pass/fail
Экономьте время.
Загрузите домен в нашего Postmaster-бота — он проверит метрики раз в час и предупредит, если что-то упало в fail.
Запустить Postmaster-бота
6. Пошаговая схема устранения критической ошибки
1
Получили оповещение «SPF permerror».
2
Открыли TXT, сократили includes до 7.
3
Подождали TTL (300–600 сек в REG.RU).
4
Проверили dig → mail-tester → Postmaster.
5
Убедились, что SpamRate вернулся < 0.2%.
6
Вернули объём отправки на прежний уровень постепенно (правило 20% в день).
7. Итоги
90% сбоев аутентификации решаются правкой DNS-TXT и корректной каноникализацией.
Проверяйте каждое изменение через dig + mail-tester до реальной рассылки.
Настройте DMARC-отчёты и подпишите домены в Postmaster Mail.ru, чтобы видеть реальные фейлы.
Подключите Postmaster-бота — и получайте push-уведомления, пока конкуренты гадают, почему их письма в спаме.
